Parere del Garante n. 437 del 15/12/2022

Parere su istanza di accesso civico ai dati dei RUP nella BDNCP

Il Garante si pronuncia, ai sensi dell’art. 5, comma 7, del d.lgs. 33/2013, su richiesta del RPCT di ANAC nell’ambito del riesame di un diniego di accesso civico generalizzato. L’istanza riguardava l’elenco dei responsabili unici del procedimento (RUP) iscritti nelle banche dati ANAC, con indicazione di stazione appaltante e recapiti email/PEC, nonché l’ammontare degli affidamenti con SMARTCIG degli ultimi tre anni.

Quadro normativo di riferimento

Il Garante richiama il GDPR, il Codice privacy, l’art. 5, commi 2, 6 e 7, e l’art. 5-bis del d.lgs. 33/2013, oltre all’art. 9-bis del medesimo decreto, che disciplina la pubblicazione dei dati contenuti nelle banche dati pubbliche tra cui la BDNCP. Vengono inoltre richiamate le Linee guida ANAC sull’accesso civico e il regolamento ANAC sull’accessibilità dei dati della BDNCP, in particolare l’art. 3 relativo alle tipologie di dati resi accessibili.

Oggetto dell’istanza e posizione delle parti

L’istanza chiedeva:

• l’elenco dei RUP degli ultimi tre anni con nome, cognome, stazione appaltante e recapiti email/PEC;
• l’ammontare degli affidamenti effettuati con acquisizione dello SMARTCIG negli ultimi tre anni.

ANAC aveva negato l’accesso, sostenendo inizialmente che alcuni dati non fossero accessibili e, nel successivo parere al Garante, precisando che i dati identificativi di stazione appaltante e RUP sono già pubblicati e liberamente consultabili nel portale open data dell’Autorità, mentre i recapiti email/PEC non sono oggetto di specifica pubblicazione obbligatoria. Il RPCT evidenziava inoltre la difficoltà di coinvolgere un numero molto elevato di controinteressati e la possibilità di accesso parziale con oscuramento dei dati personali.

Dati identificativi dei RUP già pubblici nella BDNCP

Sul punto relativo ai nominativi dei RUP e alla stazione appaltante, il Garante osserva che tali informazioni sono già soggette a una disciplina di settore che ne regola pubblicità e accesso. In particolare, l’art. 9-bis del d.lgs. 33/2013 prevede la pubblicazione dei dati contenuti nelle banche dati pubbliche corrispondenti agli obblighi di pubblicazione, e la BDNCP rientra tra le banche dati dell’Allegato B.

Il Garante prende atto che, per tali informazioni, non è possibile invocare un motivo di protezione dei dati personali idoneo a ostacolare la conoscibilità. Restano però ferme le valutazioni di ANAC, quale amministrazione destinataria dell’istanza, in ordine alla ricevibilità di richieste che richiedano ulteriori estrazioni e rielaborazioni dei dati, nonché alla possibile applicazione dell’accesso civico semplice con indicazione del collegamento ipertestuale ai dati già pubblicati.

Recapiti email/PEC dei RUP e pregiudizio concreto alla riservatezza

Diverso è il giudizio sui recapiti email/PEC dei RUP. Il Garante li qualifica come dati personali ai sensi dell’art. 4, par. 1, n. 1, GDPR e rileva che non esiste un obbligo generalizzato di pubblicazione di tali informazioni.

Secondo l’Autorità, l’accoglimento dell’istanza comporterebbe la concentrazione in un unico file/database di un elevato numero di recapiti, con maggiore vulnerabilità dei dati e potenziale uso improprio da parte di terzi, anche per invii indesiderati o finalità non note. La circostanza che i recapiti possano essere già stati comunicati o diffusi da singole stazioni appaltanti non elimina, di per sé, le esigenze di tutela, poiché l’accesso civico generalizzato produce un regime di conoscibilità ulteriore e più ampio, destinato a chiunque.

Limiti dell’accesso civico generalizzato e principi GDPR

Il Garante richiama il carattere peculiare del FOIA, che rende i dati acquisiti pubblici, fruibili gratuitamente e riutilizzabili da chiunque ai sensi dell’art. 3, comma 1, e dell’art. 7 del d.lgs. 33/2013. Per questo motivo, la divulgazione massiva di recapiti personali deve essere valutata anche alla luce dei principi di minimizzazione e limitazione della finalità di cui all’art. 5, par. 1, lett. b) e c), GDPR.

L’Autorità evidenzia che l’eventuale accesso a un elenco così ampio di recapiti non si tradurrebbe in una mera conoscenza puntuale, ma nella creazione di una banca dati aggregata, con un livello di esposizione superiore rispetto alle modalità originarie di disponibilità dei dati.

Diniego, motivazione e conclusioni

Il Garante osserva infine che la motivazione del diniego adottato da ANAC era troppo sintetica e non consentiva all’istante di comprendere appieno le ragioni del rigetto. Quanto alla richiesta sugli importi complessivi degli affidamenti con SMARTCIG, il Garante rileva che, allo stato, non risultavano profili di protezione dati di propria competenza, anche perché la questione non era stata adeguatamente sviluppata dall’amministrazione.

Il parere, in conclusione, è sostanzialmente favorevole alla distinzione operata tra dati già pubblici e recapiti personali: i primi non presentano ostacoli privacy, i secondi possono essere negati ove l’ostensione arrechi un pregiudizio concreto alla protezione dei dati personali. Le ulteriori valutazioni su accessibilità, estrazione e ricevibilità dell’istanza restano in capo ad ANAC.